Django中如何确保一类用户无法以另一类用户身份登录？

针对教师和学生两类角色不可交叉登录的需求，可以通过以下两种方案实现，适配你当前提供的模型结构：

方案1：自定义认证后端（推荐） #

通过重写Django的认证逻辑，校验用户名密码的同时自动校验用户角色，重复代码少，可复用性高。

第一步：编写自定义认证后端 #

在你的应用下新建backends.py文件，写入如下代码：

from django.contrib.auth.backends import ModelBackend
from django.contrib.auth import get_user_model
from .models import Teacher, Student

User = get_user_model()

# 教师端专用认证后端
class TeacherAuthBackend(ModelBackend):
    def authenticate(self, request, username=None, password=None, **kwargs):
        try:
            user = User.objects.get(username=username)
        except User.DoesNotExist:
            return None
        # 先校验账号密码有效性
        if user.check_password(password) and self.user_can_authenticate(user):
            # 额外校验账号是否关联教师身份
            if hasattr(user, 'teacher'):
                return user
        return None

# 学生端专用认证后端
class StudentAuthBackend(ModelBackend):
    def authenticate(self, request, username=None, password=None, **kwargs):
        try:
            user = User.objects.get(username=username)
        except User.DoesNotExist:
            return None
        if user.check_password(password) and self.user_can_authenticate(user):
            # 额外校验账号是否关联学生身份
            if hasattr(user, 'student'):
                return user
        return None

第二步：配置认证后端 #

在项目settings.py中添加自定义的认证后端：

AUTHENTICATION_BACKENDS = [
    '你的应用名称.backends.TeacherAuthBackend',
    '你的应用名称.backends.StudentAuthBackend',
    'django.contrib.auth.backends.ModelBackend', # 保留默认后端用于管理员后台登录
]

第三步：登录视图指定对应认证后端 #

教师端和学生端的登录接口分别调用对应角色的认证后端：

from django.contrib.auth import authenticate, login
from django.http import JsonResponse

# 教师端登录接口
def teacher_login(request):
    username = request.POST.get('username')
    password = request.POST.get('password')
    # 明确指定使用教师认证后端
    user = authenticate(request, username=username, password=password, backend='你的应用名称.backends.TeacherAuthBackend')
    if user:
        login(request, user)
        return JsonResponse({'msg': '教师登录成功'})
    return JsonResponse({'msg': '账号密码错误或非教师身份'}, status=400)

# 学生端登录接口
def student_login(request):
    username = request.POST.get('username')
    password = request.POST.get('password')
    # 明确指定使用学生认证后端
    user = authenticate(request, username=username, password=password, backend='你的应用名称.backends.StudentAuthBackend')
    if user:
        login(request, user)
        return JsonResponse({'msg': '学生登录成功'})
    return JsonResponse({'msg': '账号密码错误或非学生身份'}, status=400)

方案2：登录视图追加角色校验（轻量方案） #

适合小型项目，不需要修改认证后端配置，直接在登录逻辑中追加角色判断：

def teacher_login(request):
    username = request.POST.get('username')
    password = request.POST.get('password')
    user = authenticate(request, username=username, password=password)
    if not user:
        return JsonResponse({'msg': '用户名或密码错误'}, status=400)
    # 追加教师身份校验
    if not hasattr(user, 'teacher'):
        return JsonResponse({'msg': '当前账号不是教师账号，无法登录教师端'}, status=403)
    login(request, user)
    return JsonResponse({'msg': '登录成功'})

学生端登录逻辑同理，把hasattr(user, 'teacher')改为hasattr(user, 'student')即可。

额外优化建议 #

• 避免用户登录后手动切换端访问的情况，可以写角色校验装饰器，给对应端的接口加上访问限制：

from django.http import HttpResponseForbidden

def teacher_required(view_func):
    def wrapper(request, *args, **kwargs):
        if not hasattr(request.user, 'teacher'):
            return HttpResponseForbidden('仅教师可访问当前资源')
        return view_func(request, *args, **kwargs)
    return wrapper

# 学生身份校验装饰器同理

使用时直接装饰对应视图即可：

@teacher_required
def teacher_course_manage(request):
    # 业务逻辑
    pass

• 如果业务不允许同一账号同时具备教师和学生身份，可以给User模型扩展role字段，可选值为teacher/student，校验时直接判断user.role即可，比判断关联属性效率更高，也能避免同时关联两个角色的异常情况。

内容的提问来源于stack exchange，提问作者ailsin